個人情報保護委員会、第1四半期に141件を指導　ランサムウェア15件、VPN脆弱性放置や弱い認証を問題視

個人情報保護委員会は2026年9月2日、第367回個人情報保護委員会で「令和8年度第1四半期における監視・監督権限の行使状況の概要」を公表しました。

2026年度第1四半期に個人情報保護法に基づいて行った指導・助言は計141件で、このうち民間事業者が98件、行政機関等が43件でした。

民間事業者では、不正アクセスを原因とする漏えい等事案を中心に安全管理措置の不備が指摘されました。攻撃種類としては、ブルートフォース攻撃やSQLインジェクション攻撃に加え、ランサムウェア攻撃が15件確認されています。

個人情報保護委員会は、不正アクセスの原因として、VPN機器やECサイト関連アプリケーションの既知脆弱性を対応方法が公表された後も放置していたケース、容易に推測できるID・パスワード、設定ミスによる不十分なデータベースアクセス制御などが多かったとしています。

指導内容では「外部からの不正アクセス等の防止」の不備が21件で最多となり、「アクセス者の識別と認証」が14件、「委託先に対する監督」が12件と続きました。

今回の資料は、ランサムウェアや不正アクセスへの対策で問題視されているのが、未知の攻撃だけではなく、既知脆弱性の放置、弱い認証、外部公開設定、委託先管理といった基本的な安全管理措置であることを改めて示しています。

2026年度第1四半期の監視・監督状況のサマリー

• 【確認済み】個人情報保護委員会は2026年9月2日、第367回委員会で第1四半期の監視・監督状況を公表しました。
• 【確認済み】個人情報保護法に基づく指導・助言は計141件でした。
• 【確認済み】民間事業者への指導・助言は98件でした。
• 【確認済み】行政機関等への指導・助言は43件でした。
• 【確認済み】民間事業者では、不正アクセスを原因とする漏えい等事案が中心でした。
• 【確認済み】ランサムウェア攻撃は15件確認されました。
• 【確認済み】既知のVPN機器やECサイト関連アプリケーションの脆弱性を放置したケースが複数確認されました。
• 【確認済み】容易に推測できるID・パスワードや、設定ミスによるアクセス制御不備も問題となりました。
• 【確認済み】「外部からの不正アクセス等の防止」の不備への指導が21件で最多でした。
• 【確認済み】「アクセス者の識別と認証」の不備は14件、「委託先に対する監督」の不備は12件でした。
• 【確認済み】民間事業者では漏えい等報告の提出遅延について45件の指導が行われました。
• 【確認済み】マイナンバー法に基づく指導・助言は4件でした。
• 【確認済み】同四半期の公表事案はありませんでした。

項目	内容
公表日	2026年9月2日
公表機関	個人情報保護委員会
対象期間	2026年度第1四半期
個人情報保護法に基づく指導・助言	141件
民間事業者	98件
行政機関等	43件
ランサムウェア攻撃	15件
外部からの不正アクセス等の防止の不備	21件
アクセス者の識別と認証の不備	14件
委託先に対する監督の不備	12件
情報システムの使用に伴う漏えい等の防止の不備	3件
民間事業者の漏えい等報告遅延に関する指導	45件
マイナンバー法に基づく指導・助言	4件
公表事案	なし

民間98件、不正アクセスを原因とする漏えい等事案が中心

2026年度第1四半期に、個人情報保護委員会が民間事業者へ行った指導・助言は98件でした。

同委員会は、不正アクセスを原因とする漏えい等事案を中心に、安全管理措置の不備について指導したとしています。

具体的な原因として目立ったのは、VPN機器やECサイト構築用アプリケーションなどについて脆弱性が公開され、対応方法も提供されていたにもかかわらず、事業者が対応せず放置していたケースです。

さらに、ID・パスワードが容易に推測されやすい設定だったケースや、設定ミスによってデータベースへの適切なアクセス制御が行われていなかったケースも多く確認されました。

攻撃者が未知の脆弱性を使った事例だけではなく、既に修正方法が提供されていた脆弱性や、基本的な認証・アクセス制御の不備が実際の漏えい等事案につながっていることが分かります。

ランサムウェア攻撃は15件

民間事業者への指導対象となった事案では、ブルートフォース攻撃やWebサイトへのSQLインジェクション攻撃などに加え、ランサムウェア攻撃が15件確認されました。

資料では、VPN経由で不正アクセスを受け、ランサムウェアに感染した複数の事例が具体的に示されています。

その多くで共通しているのが、VPN機器の既知脆弱性の放置です。

ある事業者では、VPN機器の脆弱性が公表されていたにもかかわらず対応せず、サーバーが不正アクセスを受けてランサムウェアに感染しました。ファイルが暗号化され、従業者や顧客の個人データについて漏えいのおそれや毀損が生じています。

別の事例では、VPN機器の脆弱性放置に加え、VPNアカウントのパスワードが脆弱な設定だったことも原因とされています。

VPN脆弱性を放置、管理者アカウントまで悪用

資料には、VPN機器の脆弱性を起点に社内ネットワークへ侵入され、ネットワーク内の管理者権限を持つアカウントを攻撃者に不正利用された事例も掲載されています。

この事案では、VPN機器の既知脆弱性が放置されていたことに加え、初期侵入に利用されたアカウントの認証情報も脆弱な設定だったとされています。

PPCは「外部からの不正アクセス等の防止」と「アクセス者の識別と認証」の双方について問題を指摘しました。

境界機器のパッチ適用だけでなく、侵入後に攻撃者が利用できるアカウントの権限や認証強度まで含めて対策する必要があることを示しています。

委託先のVPN脆弱性放置、委託元にも監督不備

今回の資料では、委託先管理についても具体的な問題が示されました。

ある事業者では、機器管理を委託していた事業者側でVPN機器の既知脆弱性が放置され、その結果、委託元のサーバーがランサムウェアに感染しました。

個人データについて漏えい、漏えいのおそれ、毀損が生じています。

さらに委託元については、個人データの取扱いを伴う業務を委託していたにもかかわらず契約を締結しておらず、委託先での個人データ取扱状況の把握にも問題があったとして、委託先の監督が不十分と判断されました。

民間事業者に対する指導内容では、「委託先に対する監督」の不備が12件確認されています。

システム運用やネットワーク機器の管理を外部ベンダーへ委託していても、委託元の監督責任までなくなるわけではありません。

「外部からの不正アクセス防止」の不備が21件で最多

民間事業者への指導内容では、「外部からの不正アクセス等の防止」の不備が21件で最も多くなりました。

次いで、

• アクセス者の識別と認証：14件
• 委託先に対する監督：12件
• 情報システムの使用に伴う漏えい等の防止：3件

となっています。

同じ事案で複数の指導項目に該当する場合は、それぞれ計上されています。

RDPの外部公開や弱い認証も問題に

資料では、VPN以外の外部公開サービスを起点とした事案も取り上げられています。

RDPをIPアドレスによる接続制限なしで利用し、さらにサーバーの認証情報が脆弱だったため、不正アクセスからランサムウェア感染につながった事例があります。

別の事例では、業務用PCに誤ってグローバルIPアドレスが設定され、常用していないアカウントの認証情報も弱かったため、不正アクセスを受けています。

設定の問題によってサーバーの全ポートが外部へ公開され、その状態を検知する仕組みもなかった事例も掲載されています。

ECサイトではSQLインジェクションや管理画面の設定不備

ECサイト関連では、アプリケーションの既知脆弱性を放置した事案も複数確認されています。

SQLインジェクション攻撃を受け、データベースに保存されていた個人データについて漏えい等が生じたケースがあるほか、管理用機能に適切なアクセス制御がなく、第三者がファイルアップロード機能を利用できる状態だった事例も掲載されています。

ECサイトの開発・運用を委託している場合でも、委託元が脆弱性対応状況やデータ管理の実態を確認することが求められます。

漏えい等報告の提出遅延でも45件を指導

技術的な安全管理措置だけでなく、インシデント発生後の報告体制も指導対象となっています。

民間事業者では、資料に掲載された個別事案への対応とは別に、漏えい等報告の提出遅延について45件の指導が行われました。

不正アクセスを検知した後、フォレンジック調査や対象人数の確認に時間を要するケースは少なくありません。

一方、個人情報保護法上の報告義務が生じる場合には、すべての事実が確定するまで報告を待つのではなく、速報・確報の期限を意識したインシデント対応が必要です。

行政機関等43件、誤廃棄やマスキング不備も

行政機関等への指導・助言は43件でした。

民間事業者では不正アクセス関連が目立った一方、行政機関等では、文書やファイルの誤廃棄、誤送付、公開時のマスキング不備など、人為的な情報管理ミスも確認されています。

資料には、Excelファイル内の非表示シートに本来公開すべきでない個人情報が残ったまま公開された事例や、マスキングが不十分で一定の操作によって元のテキストを閲覧できる状態だった事例も掲載されています。

マイナンバー法では4件、ランサムウェア関連も

マイナンバー法に基づく指導・助言は4件でした。

VPNアカウントの認証情報が脆弱だったケースや、VPN機器の既知脆弱性を放置していたケースが含まれ、従業者等の特定個人情報について漏えいのおそれや毀損が生じています。

このほか、心身障害児医療費関係書類の所在が不明となり、要配慮個人情報や個人番号を含む情報について漏えいのおそれが生じた事例もありました。

「パッチ未適用」だけではなく委託先管理まで問われる

今回の資料で重要なのは、PPCがサイバー攻撃そのものを理由に指導しているわけではない点です。

問題となっているのは、攻撃を受ける以前に事業者が講じるべき安全管理措置に不備があったかどうかです。

特に今回の事例では、

• 既知脆弱性が公開されているのに更新しない
• 弱いパスワードを使う
• 管理画面やRDPを必要以上に外部公開する
• データベースへのアクセス制御を誤る
• 委託先の脆弱性対応を確認しない
• 委託契約や監督体制を整備しない

といった対応不足が繰り返し問題になっています。

脆弱性対策は情報システム部門だけの技術課題ではなく、個人情報保護法上の安全管理措置や委託先監督とも直結する問題です。

過去にはイセトーやKDDIにも指導

セキュリティ対策Labでは、個人情報保護委員会によるサイバーインシデントへの行政対応を継続して取り上げています。

個人情報保護委員会、イセトーへのサイバー攻撃による約307万人の個人情報漏洩について行政指導を発表

個人情報保護委員会、KDDIと一部ISPを指導、サイバー攻撃で1,223万人のメールアドレス 情報漏洩で

今回の四半期資料は、こうした個別の大規模事案だけでなく、監督実務の中で繰り返し確認されている問題を横断的に示したものです。

情報システム部門への示唆

今回のPPC資料を情報システム部門の視点で見ると、優先すべき対策は明確です。

まず、VPN、ファイアウォール、RDP、Web管理画面、ECサイトなど、インターネットから到達可能な資産を継続的に把握する必要があります。

そのうえで、ベンダーの脆弱性情報を継続監視し、修正版公開後の適用期限を社内で定める、EOS・EOL製品を放置しない、管理者アカウントへMFAを適用する、不要なアカウントを停止する、外部公開サービスにアクセス制限を設定する、といった基本対策が求められます。

特に、脆弱性対応を委託先へ任せている企業は注意が必要です。今回の資料では、委託先がVPN機器の脆弱性を放置していた事案で、委託元についても契約や監督の不備が問題とされました。

「保守会社に任せていた」は、安全管理措置の不備を免れる理由にはなりません。

2026年度第1四半期に確認されたランサムウェア15件は、攻撃者の技術進化だけを見るべき数字ではありません。PPCの資料が示しているのは、既知脆弱性の放置、弱い認証、アクセス制御、委託先監督といった、組織側で改善可能な基本対策が依然として被害の背景にあるという点です。

出典

• 第367回 個人情報保護委員会 – 個人情報保護委員会
• 令和8年度第1四半期における監視・監督権限の行使状況の概要 – 個人情報保護委員会
• 個人情報保護委員会、イセトーへのサイバー攻撃による約307万人の個人情報漏洩について行政指導を発表 – セキュリティ対策Lab
• 個人情報保護委員会、KDDIと一部ISPを指導、サイバー攻撃で1,223万人のメールアドレス 情報漏洩で – セキュリティ対策Lab